Big Data und das Konzept der Datenschutzgesetze

Transkript

1 Big Data und das Konzept der Datenschutzgesetze 18. Symposium on Privacy and Security Wo (Daten-)Berge sich erheben Personen-)Daten das neue Gold Die Perspektiven für Unternehmen und Verwaltung Zürich 28. August 2013 Übersicht 1. Schutzgut des Datenschutzrechts Informationelle Selbstbestimmung 2. Anwendungsbereich des Datenschutzrechts Personenbezogene Daten 3. Konzept der Datenschutzgesetze Transparenter erforderlicher zweckgebundener Datenumgang 4. Neue konzeptionelle Herausforderungen Unsicherheiten, Grenzen der Gefahrenabwehr und Kollektivierung der Risiken 5. Ergänzende Konzepte Vorsorge: Prävention durch Risikoreduzierung 1

2 1. Schutzgut des Datenschutzrechts Informationelle Selbstbestimmung zielt auf eine Kommunikationsordnung, die einen selbstbestimmten Informationsaustausch und eine freie demokratische Willensbildung ermöglicht. Gefährdung der informationellen Selbstbestimmung? Informationelle Selbstbestimmung ist die Befugnis jedes Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestimmen. Zielsetzung Freie, selbstbestimmte Entwicklung der Persönlichkeit Freie Entscheidung und selbstbestimmtes Handeln Voraussetzung für Verwirklichung von Grundrechten Freiheitliches demokratisches Gemeinwesen Gefährdung Informationelle Selbstbestimmung missachtet oder nicht mehr wahrnehmbar 2

3 2. Anwendungsbereich des Datenschutzrechts Der verfassungsrechtliche Schutz erstreckt sich auf die Selbstbestimmung im Umgang mit allen personenbezogenen Daten und ist auf diese begrenzt. Personenbezogene Daten Personenbezogene Daten alle Informationen über eine bestimmte oder bestimmbare natürliche Person; als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Aus-druck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind (Art. 2 a) DSRL) Identifizierung wenn eine Person eindeutig von anderen Personen einer Gruppe unterscheidbar ist durch Name, Kennnummer oder soziale Identität. Notwendig ist eine einmalige Kombination von (k) Merkmalen Zusatzwissen Schluss von Daten auf Identität durch Zusatzwissen des Verantwortlichen mit allen verfügbaren Mitteln Zusatzwissen durch Big Data-Recherchen Veröffentlichung der Daten: Zusatzwissen aller potentiellen Nutzer 3

4 3. Konzept der Datenschutzgesetze Das Datenschutzrecht kann als Schutzprogramm für die informationelle Selbstbestimmung verstanden werden. Es wird von Big Data konterkariert. Gesetzliches Schutzprogramm Datenschutzprinzipien Interessenabwägung Einwilligung Transparenz Zweckbegrenzung Zweckbindung Erforderlichkeit Datensparsamkeit Big Data Entindividualisierung Freiwilligkeit fraglich Daten und Zwecke intransparent Vorratsdatenspeicherung Auswertung heterogener Daten Für alle Zwecke erforderlich Sammlung ohne Begrenzung Kann Big Data datenschutzrechtlich zulässig sein? 4

5 Die Zulässigkeit einzelner Phasen I Zulässig durch informierte und freie Einwilligung oder Speichern von Big Data Personenbezug durch Verfügbarkeit über mehr als k Merkmale Weiterspeichern: Zweckbegrenzung und Erforderlichkeit, Zusammenführen: Zweckbindung und Erforderlichkeit Speicherdauer. Erforderlichkeit soziales Vergessen Überwiegen der schutzwürdigen Interessen? Auswerten von Big Data - personenbezogen Tracking: Interessenabwägung Zweckbindung Scoring: Interessenabwägung 6a und 28a BDSG Personalizing: Interessenabwägung Regeln für Werbung Profiling: Verbot von Profilen Interessenabwägung Überwiegen der schutzwürdigen Interessen? Die Zulässigkeit einzelner Phasen II Auswerten von Big Data - statistisch Ergebnis: Aggregierte Daten kein Personenbezug Ergebnis: Personenbeziehbare Daten Interessenabwägung Veröffentlichen von Big Data Rohdaten: (k + mehr) Merkmale für alle zugänglich Personenbezug Interessenabwägung Überwiegen schutzwürdiger Interessen? Aggregierte Daten kein Personenbezug 5

6 Anonymisierung als Lösung? Ohne Personenbezug keine Anwendung des Datenschutzrechts für den Verantwortlichen, der kein verfügbares Zusatzwissen hat, um die Daten einer Person zuzuordnen Faktische Anonymität Es genügt, wenn die Zuordnung faktisch nicht möglich, weil der Aufwand an Zeit, Kosten und Arbeitskraft für die Zuordnung gemessen am Interesse unverhältnismäßig ist Zeitraum für Prognose Dauer der Speicherung Anonymisierung möglich? Zuordnung der Daten zu einer Person faktisch nicht möglich, wenn die Merkmale für die Individualisierung in einer Gruppe auf (k 1) beschränkt werden Unzureichend Löschen von Identifikatoren wie Namen oder Nummer Möglich Löschung von Merkmalen, aber - exponentielle Zunahme der Merkmale? - verbesserte Auswertungsmethoden? Aggregation der Daten Zerlegung und Verwürfelung der Merkmalsdaten Weitere Forschung notwendig 6

7 4. Neue konzeptionelle Herausforderungen Big Data erzeugt neue grundlegende Herausforderungen, die die informationelle Selbstbestimmung und ihre Zielsetzungen gefährden. Infragestellung des Schutzkonzepts Bisher: Individuelle Gefahrenabwehr Abwehr von Gefahren für die informationelle Selbstbestimmung durch individuellen Schutz gegen spezifischen Verantwortlichen Big Data: Risikoprognose unsicher Für welche Personen wird Big Data ab welchem Zeitpunkt eine Gefahr, weil die Zuordnung von Daten möglich ist? Big Data: Abwehrinstrumente versagen Datenschutzprinzipien stehen konträr zu Konzept von Big Data Wäre nur Verbot von Big Data datenschutzkonform? Big Data: Kollektivierung des Risikos Anonyme Vergemeinschaftung: Statistik gilt für alle. Folge: Einwilligung und Bereitstellung von Daten betrifft alle. Verweigerung von Daten hilft nichts. Wie kollektives Risiko begrenzen? 7

8 Gefährdung von Grundrechte und Demokratie Informationelle Selbstbestimmung schützt vor Freiheitseinschränkung durch die Verarbeitung personenbezogener Daten Welcher Schutz besteht gegen Verhaltenssteuerung durch nicht personenbezogene (statistische) Daten? Diskriminierung Auswertung nach Merkmalen mit sozialem oder politischem Diskriminierungspotenzial Beschränkung von Handlungsfreiheit und Demokratie Einordnung in kollektives Handeln Normativität der Normalität Christen Atheisten Buddhisten Aufenthalt in X 2,0% 0,4% 98,1 % Einkauf bei Y 0,4% 1,2% 92,3% Nutzung ÖPNV 12, 1% 9,9% 86,3% 5. Ergänzende Konzepte Die Gefahrenabwehr muss durch Konzepte der Vorsorge ergänzt werden.. 8

9 Vorsorge Prävention durch Risikoreduzierung Reduzierung individueller und kollektiver Risiken durch Vorsorgemaßnahmen im Rahmen der Verhältnismäßigkeit Mögliche Vorsorgemaßnahmen Risikoanalysen: Prognose des möglichen Personenbezugs Neue Einwilligungsregeln: Konsequenzen für Dritte Verwendungsregeln: Begrenzte Veröffentlichung von Big Data, Löschung von Daten bestimmter Kategorien oder nach bestimmten Zeiträumen, Verbot der Individualisierung Verwertungsregeln (Diskriminierungs- und Verwertungsverbote) Beschränkung von Big Data im Sinn der Datensparsamkeit Schutzpflichten (Zugriffsschutz, Integritätsschutz, ) (Freiwillige) Überprüfungen (Audits) Zusammenfassung Die wesentlichen Merkmale von Big Data stehen konträr zu den grundsätzlichen Konzepten der Datenschutzgesetze. Der Konflikt kann entschärft werden, wenn eine wirkliche Anonymisierung der Datensätze erreicht wird. Dies muss die Möglichkeit eines Personenbezugs für die Dauer der Speicherung ausschließen. Da dies vielfach fraglich ist, muss das Konzept der Gefahrenabwehr ergänzt werden durch das Konzept der Vorsorge durch Risikoreduktion. Es bleiben Fragen: Wie können wir sicherstellen, dass die Betroffenen weiterhin die Befugnis haben, über die Verarbeitung ihrer Daten selbst zu entscheiden? Wie können wir verhindern, dass Entscheidungen nicht faktisch über Statistiken, sondern durch politische Bewertungen demokratisch engagierter Bürger getroffen werden? 9